Grazie per il feedback.

Servizi e componenti principali di Webex Meetings

• Webex Meetings fa parte della Webex Suite, fornendo audio/video Videoconferenza con condivisione di contenuti e funzionalità di web conferencing.
• La piattaforma include diversi microservizi, tra cui il servizio per le riunioni, il servizio per i webinar, il servizio di gestione delle identità, il servizio di registrazione, il servizio di assistente AI, il servizio di analisi, il servizio di amministrazione e il servizio multimediale.
• Webex Meetings supporta app e dispositivi registrati nel cloud, consentendo agli utenti di partecipare alle riunioni da diverse piattaforme e dispositivi. Gli utenti possono partecipare alle riunioni anche tramite la rete telefonica pubblica (PSTN) e con endpoint SIP.

Architettura e implementazione

• I servizi di Webex Meetings sono regionalizzati e replicati su più data center indipendenti per garantire ridondanza e alta disponibilità.
• I servizi multimediali sono distribuiti a livello globale con cluster di server multimediali in ogni data center, garantendo ridondanza locale e geografica.
• I server multimediali gestiscono la condivisione di voce, video e contenuti, con i file multimediali generalmente crittografati utilizzando AES-256-GCM.
• L'architettura supporta la segnalazione crittografata su TLS/HTTPS e flussi multimediali crittografati.

Webex consente di partecipare alle riunioni da diverse piattaforme e dispositivi, tra cui:

• Applicazione desktop Webex per Windows, Mac e Linux.
• Applicazione mobile Webex per Android e iOS.
• Applicazione web Webex utilizzabile con Chrome, Edge, Safari, Firefox e altri browser.
• Dispositivi Cisco per sale riunioni e dispositivi da scrivania.
• Endpoint audio e video di terze parti basati su standard SIP.
• Dispositivi PSTN.

Sovranità del cliente Webex

In risposta alla crescente domanda di residenza dei dati, Webex ha introdotto funzionalità di sovranità avanzate. A partire dalla funzione di registrazione, e con il supporto di ulteriori servizi in futuro, le organizzazioni possono ora mantenere il controllo sul contenuto delle proprie riunioni grazie a:

• Elaborazione localizzata— Elaborazione del contenuto della riunione, come le registrazioni, all'interno della propria infrastruttura.
• Archiviazione in loco—Utilizzo dei propri servizi di archiviazione file per ospitare risorse sensibili relative alle riunioni, garantendo che i dati rimangano entro i confini geografici o organizzativi specificati.

Riunioni Webex ultra sicure

Storicamente, le funzionalità "ultra sicure", come la crittografia end-to-end Zero Trust (E2EE), spesso comportavano un compromesso in termini di funzionalità delle riunioni, poiché i servizi a valore aggiunto basati sul cloud richiedevano l'accesso alle chiavi di crittografia e solo un numero limitato di tipi di endpoint poteva partecipare a tali riunioni. Webex ha eliminato questo compromesso con:

• Zero Trust ricco di funzionalità—Webex ha trasformato le riunioni Zero Trust con crittografia end-to-end (E2EE), aggiungendo funzionalità che rendono le riunioni Zero Trust ricche di funzionalità. Il supporto per un numero maggiore di tipologie di endpoint offre un'esperienza fluida senza rinunciare agli strumenti necessari per la collaborazione moderna.
• Zero Trust per le riunioni standard—Webex ha integrato le funzionalità Zero Trust E2EE direttamente nelle riunioni standard. Ciò garantisce che anche la collaborazione quotidiana possa beneficiare dei più elevati livelli di sicurezza, offrendo una protezione costante in tutto l'ecosistema Webex.

Un approccio unificato alla collaborazione

Integrando la sovranità del cliente con queste funzionalità avanzate Zero Trust E2EE, Webex consente alle organizzazioni di raggiungere un duplice obiettivo: Ospitare riunioni altamente sicure, basate sul modello Zero Trust, all'interno del cloud Webex, mantenendo al contempo il pieno controllo sull'elaborazione e l'archiviazione dei contenuti critici delle riunioni in locale. Questa sinergia offre la flessibilità e la sicurezza necessarie per gli ambienti aziendali moderni, orientati alla conformità normativa.

Estensione del perimetro di sicurezza con Video Mesh Node

L'aggiunta di un nodo Video Mesh a un'organizzazione consente ai clienti di fornire servizi di riunione in loco e permette ai loro endpoint locali di partecipare a qualsiasi riunione Webex. Dal punto di vista della sicurezza, l'integrazione di un nodo Video Mesh mantiene il principio Zero Trust all'interno del cloud Webex, offrendo al contempo funzionalità pressoché identiche a quelle delle riunioni Webex standard. I clienti beneficiano inoltre della sovranità dei dati, poiché servizi come le registrazioni delle riunioni di Video Mesh Node vengono elaborati e archiviati in locale.

L'utilizzo della crittografia end-to-end Zero Trust potrebbe aggiungere qualche secondo in più all'accesso a una riunione, ma offre una chiara garanzia di sicurezza: solo i partecipanti alla riunione hanno accesso alle chiavi di crittografia, quindi il contenuto della riunione non può essere decrittografato dal fornitore del servizio o da altri intermediari.

Riepilogo: Webex Meetings e modelli di implementazione ibrida

Come mostrato nel confronto precedente, l'implementazione di Video Mesh Node (VMN) consente alle riunioni Webex Zero Trust di raggiungere una quasi parità di funzionalità con le riunioni Webex standard. Sebbene le riunioni Zero Trust non supportino partecipanti PSTN, l'applicazione web Webex rappresenta un'alternativa ampiamente disponibile per l'accesso crittografato end-to-end. Inoltre, VMN consente ai lavoratori d'ufficio che utilizzano telefoni fissi di partecipare senza problemi alle riunioni Zero Trust.

Video Mesh Node garantisce inoltre la sovranità dei dati per i contenuti critici delle riunioni, comprese le registrazioni e, in un prossimo futuro, le trascrizioni, i riepiloghi e le azioni da intraprendere. Elaborando e archiviando questi dati in locale, VMN offre ai clienti il controllo completo sulle proprie informazioni, mantenendo al contempo un'architettura Zero Trust all'interno del cloud Webex.

Segnalazione Webex crittografata

I servizi Webex supportano le versioni 1.2 e 1.3 di TLS, con preferenza per la versione 1.3 quando supportata dal dispositivo di connessione. Se un client supporta solo TLS 1.2, il server Webex seleziona la suite di cifratura più robusta offerta dal client. A differenza di TLS 1.2, TLS 1.3 non utilizza la selezione della suite di cifratura preferita dal server perché si basa su un insieme più ristretto e selezionato di cifrari moderni. Questo design semplifica il processo di selezione, concentrandosi maggiormente sul miglioramento delle prestazioni, come la riduzione della durata complessiva della stretta di mano, pur mantenendo un elevato livello di sicurezza. Le suite di cifratura per TLS 1.2 e 1.3 utilizzate da Webex sono ben definite e prioritarie per garantire comunicazioni sicure.

Suite di cifratura TLS

Suite di cifratura TLS 1.3 (i server TLS 1.3 non utilizzano un ordine di preferenza per la selezione delle suite)

Suite di cifratura TLS 1.2 (suite nell'ordine preferito dal server)

I cifrari di crittografia AES_256_CBC e AES_128_CBC sono supportati per mantenere la compatibilità con i sistemi legacy, i browser meno recenti e i dispositivi embedded che non supportano i moderni cifrari AEAD (Authenticated Encryption with Associated Data) come AES-GCM, ad esempio Internet Explorer 11 su Windows 7 e Windows 8.1, Safari 6/7/8 Le prime versioni di iOS e macOS utilizzano algoritmi di cifratura basati su CBC.

Il CHACHA20_POLY1305 è un cifrario a flusso con una bassa dipendenza dall'hardware, il che lo rende un cifrario superiore per l'utilizzo su dispositivi mobili o dispositivi con CPU a basso consumo.

Standard di crittografia multimediale per Webex

Le riunioni e le chiamate Webex utilizzano una robusta crittografia basata su AES per tutti i pacchetti multimediali. La suite di cifratura specifica dipende dal tipo di endpoint, con AES-256-GCM che funge da standard preferito per una sicurezza ottimale.

Considerazioni chiave sulla sicurezza

• Standard preferito—AES-256-GCM è l'algoritmo di cifratura consigliato per tutte le implementazioni al fine di garantire il massimo livello di integrità e riservatezza dei dati.
• Interoperabilità—Sebbene Webex mantenga il supporto per i cifrari legacy (come AES-CM-128-HMAC-SHA1) per garantire l'interoperabilità con sistemi SIP e H.323 di terze parti, le organizzazioni che danno priorità a un'architettura zero-trust dovrebbero imporre AES-256-GCM laddove la compatibilità del dispositivo lo consenta.

Protocolli di trasporto multimediale

Webex supporta il trasporto multimediale tramite UDP, TCP o TLS. Per prestazioni ottimali di voce e video, Cisco raccomanda vivamente UDP.

Considerazioni sulle prestazioni:

• Efficienza in tempo reale—UDP è il protocollo di trasporto preferito per i media in tempo reale in quanto riduce al minimo la latenza e il jitter evitando i meccanismi di ritrasmissione e buffering inerenti ai protocolli orientati alla connessione.
• Impatto di TCP/TLS—Sebbene TCP e TLS forniscano una trasmissione dati affidabile e ordinata, questo comportamento è controproducente per i media in tempo reale. La conseguente ritrasmissione dei pacchetti e il buffering del flusso introducono latenza e jitter, che possono degradare significativamente la qualità dell'esperienza per i partecipanti

Utilizzo di SRTP e SFrame da parte di Webex per i media

Per mantenere gli elevati standard di sicurezza richiesti per gli ambienti WebexZero Trust, è importante distinguere tra sicurezza a livello di trasporto (SRTP) e crittografia end-to-end a livello di applicazione (SFrame).

Principali caratteristiche tecniche—SRTP & SFrame

1. SRTP (Secure Real-time Transport Protocol)

   SRTP è lo standard di settore per la protezione dei flussi multimediali in transito.

   • Ambito—Garantisce la riservatezza, l'autenticazione dei messaggi e la protezione dalla riproduzione per il payload RTP.
   • Contesto operativo—In molte architetture, il Media Server/Media Gateway (Selective Forwarding Unit (SFU)) termina la connessione SRTP per eseguire l'elaborazione multimediale (ad esempio, mixaggio, composizione del layout o transcodifica). Poiché l'SFU decifra i supporti per elaborarli, questi risultano tecnicamente vulnerabili nel punto in cui si trovano presso l'SFU.
2. SFrame (Secure Frame)

   SFrame è uno standard IETF. RFC 9605 è progettato specificamente per facilitare la vera crittografia end-to-end in un ambiente di videoconferenza multipartecipante.

   • Ambito— Crittografa i frame multimediali pacchettizzati prima che vengano incapsulati in pacchetti RTP. Webex aggiunge un ulteriore livello di crittografia utilizzando SRTP.
   • Architettura Zero Trust—Poiché i media sono crittografati a livello applicativo, l'SFU agisce solo come un relay "cieco". Instrada i pacchetti crittografati agli altri partecipanti senza mai avere accesso alle chiavi di decrittazione.
   • Indipendenza—SFrame è indipendente dal trasporto. Rimane sicuro anche se il trasporto sottostante (UDP/TCP/TLS) è compromesso, poiché il contesto di sicurezza è legato agli endpoint dei partecipanti anziché alla connessione di trasporto.

SFrame è il meccanismo fondamentale che abilita la crittografia end-to-end (E2EE). Mentre SRTP garantisce la crittografia dei dati durante il transito nella rete, SFrame assicura che i contenuti multimediali rimangano crittografati per l'intero ciclo di vita della riunione, anche quando risiedono sull'infrastruttura Cisco (l'SFU), di fatto escludendo il fornitore di servizi dal perimetro di fiducia.

Contenuti delle riunioni Webex

Il contenuto della riunione è costituito da dati creati dai partecipanti o generati dai servizi Webex per conto dell'organizzatore della riunione. Include:

• Contenuti relativi ai media— Registrazioni, trascrizioni, riassunti e azioni da intraprendere.
• Dati di collaborazione—Messaggi di chat, shared/transferred file, lavagne e annotazioni.

Sicurezza dei contenuti di Webex Meetings: crittografia end-to-end di Webex.

Webex protegge i contenuti delle riunioni generati dai partecipanti utilizzando un robusto framework di crittografia end-to-end (E2EE). Elemento centrale di questa architettura è il Webex Key Management Service (KMS), responsabile della generazione, distribuzione e gestione delle chiavi di crittografia per tutti i contenuti generati dagli utenti.

Riunione dei livelli di sicurezza dei contenuti

• Dati in transito— L'app Webex e i dispositivi video Cisco utilizzano la crittografia end-to-end (E2EE) di Webex con AES-256-GCM per crittografare i contenuti delle riunioni generati dagli utenti, come file di registrazione, file di riepilogo AI, messaggi di chat, ecc. Questo viene ulteriormente incapsulato all'interno del protocollo Transport Layer Security (TLS) per fornire una doppia protezione durante la trasmissione.
• Dati a riposo— Una volta archiviati nel cloud Webex, i contenuti crittografati sono ulteriormente protetti dalla crittografia del disco AES-256-GCM.
• Profilo di protezione— Questo approccio protegge i contenuti dall'intercettazione TLS durante il transito e garantisce che i dati archiviati rimangano inaccessibili ad attori non autorizzati all'interno dell'ambiente cloud.

Crittografia end-to-end Webex con accesso gestito ai contenuti per i servizi principali

A differenza della crittografia end-to-end Zero Trust, in cui Webex non ha accesso alle chiavi di crittografia dei contenuti multimediali, la crittografia end-to-end di Webex consente alla piattaforma di utilizzare le chiavi generate da Webex KMS per decrittografare i dati necessari ai servizi di base essenziali. Questo accesso gestito consente:

• Ricerca e indicizzazione—Consente agli utenti di effettuare ricerche nella cronologia dei contenuti.
• Conformità e governance— Abilita la prevenzione della perdita di dati (DLP), l'eDiscovery e l'archiviazione dei dati.
• Ottimizzazione multimediale— Supporta la transcodifica dei file per la compatibilità tra dispositivi.
• Sicurezza—Facilita la scansione antimalware utilizzando il Pacchetto di sicurezza esteso.

Metadati delle riunioni Webex

I metadati delle riunioni consistono nelle informazioni amministrative e tecniche generate dal sistema per facilitare, monitorare e gestire una riunione, piuttosto che nel contenuto effettivo (audio, video o file condivisi) della riunione stessa. I metadati possono essere suddivisi in diverse categorie:

• Informazioni sulla sessione— Titolo della riunione, ID della riunione, orari di inizio e fine previsti e durata effettiva della riunione.
• Dati dei partecipanti— Un elenco di invitati e partecipanti effettivi, i loro indirizzi IP, i tipi di dispositivo (come Windows, iPhone, Cisco Room Kit) e i loro join/leave timestamp.
• Metriche di utilizzo e qualità—Dati utilizzati per la risoluzione dei problemi, come perdita di pacchetti, jitter, latenza e risoluzione del flusso video.

Come vengono utilizzati i metadati

1. Analisi e reporting—Gli amministratori utilizzano i metadati in WebexControl Hub per visualizzare il numero di riunioni in corso, i reparti più attivi e la qualità complessiva dell'esperienza.
2. Risoluzione dei problemi—Il Cisco TAC (Technical Assistance Center) utilizza i metadati per identificare e risolvere i problemi relativi alle riunioni.
3. Conformità ed eDiscovery— Gli addetti alla conformità possono cercare nei metadati per dimostrare che una riunione ha avuto luogo, chi era presente e se è stata registrata, anche se non possono visualizzare il contenuto crittografato della riunione.
4. Sicurezza—I metadati aiutano a identificare tentativi di accesso non autorizzati o modelli insoliti che potrebbero indicare una minaccia alla sicurezza.

Sicurezza e privacy dei metadati

• Crittografia—Sebbene i metadati non siano "crittografati end-to-end", sono comunque crittografati durante la trasmissione (utilizzando TLS) e a riposo nei data center sicuri di Cisco.
• Controllo degli accessi— Le norme sulla privacy di Cisco limitano rigorosamente chi può accedere a questi metadati, che vengono utilizzati per fornire e migliorare il servizio.

Per ulteriori informazioni sui contenuti e sui metadati delle riunioni Webex, consultare l' Informativa sull'offerta di Webex Meetings.

Assegnazione dei tipi di sessione riunione agli utenti

Gli amministratori di Webex Control Hub possono assegnare uno o più tipi di riunione che i loro utenti possono utilizzare per le riunioni programmate. Per impostazione predefinita, a tutti gli utenti vengono assegnati i tipi di riunione Pro Meeting e Pro-End to End Encryption_VoIPonly.

Pianifica una riunione: seleziona il tipo di riunione

Gli utenti possono selezionare il tipo di riunione che desiderano utilizzare quando pianificano una riunione tramite l'app Webex, la pagina utente Webex e il componente aggiuntivo di posta elettronica Webex per Microsoft Outlook.

Pianifica una riunione: seleziona il tipo di riunione nell'app Webex App

Pianifica una riunione: seleziona il tipo di riunione dalla pagina utente di Webex.

Imposta un tipo di riunione predefinito

Gli utenti possono impostare il tipo di riunione predefinito da Riunioni > Impostazioni sulla loro pagina utente Webex.

Imposta il tipo di riunione predefinito dalla pagina Utente Webex

Prevenzione end-to-end dell'identità e dei deepfake basata sul principio Zero Trust.

I certificati di identità dell'utente finale forniti dal cliente sono un elemento fondamentale per prevenire l'usurpazione di identità nelle riunioni Webex con crittografia end-to-end (E2EE). A differenza dei tradizionali meccanismi di blocco dei deepfake che si basano sull'analisi di flussi audio e video, questo approccio fornisce una convalida crittografica dell'identità al momento dell'accesso. Questo stato di verifica viene visualizzato direttamente nell'elenco dei partecipanti alla riunione, garantendo trasparenza a tutti.

Webex ha esteso il supporto per i certificati gestiti dal cliente, precedentemente disponibile sui dispositivi RoomOS, anche all'app Webex, nell'ambito della funzionalità "Prevenzione dei deepfake". Le organizzazioni possono fornire e gestire i propri certificati digitali, emessi da autorità di certificazione (CA) esterne affidabili, utilizzando protocolli standard di settore come ACME. Questi certificati, basati sugli standard X.509 e sulle coppie di chiavi ECDSA P-256, forniscono una prova crittografica dell'identità dei partecipanti durante le riunioni E2EE.

Identità verificata end-to-end e protocollo MLS

Il protocollo Messaging Layer Security (MLS) utilizza certificati X.509 standard per autenticare i partecipanti alle riunioni. Un certificato è una dichiarazione firmata digitalmente da un'autorità di certificazione (CA) fidata che verifica l'identità del titolare della chiave di firma. I partecipanti ottengono questi certificati attraverso due metodi principali:

• Dispositivi gestiti (certificati forniti dal cliente)— Per i client desktop e mobili gestiti dall'organizzazione, è possibile installare sul dispositivo un certificato di identità di un'autorità di certificazione attendibile. Quando un utente effettua l'accesso tramite Single Sign-On (SSO), l'app Webex recupera questo certificato dall'archivio certificati attendibili del sistema operativo per presentare l'identità verificata dell'utente. Questa procedura è supportata anche per i dispositivi video Cisco registrati nel cloud Webex.
• Predefinito (Certificati forniti da Webex)—Se non è disponibile alcun certificato fornito dal cliente, il client o il dispositivo Webex utilizza automaticamente un certificato rilasciato dall'Autorità di certificazione Webex, che riflette un'identità verificata da Cisco.

Condivisione dell'identità e meccanismo di fallback

Durante una riunione, ogni partecipante condivide il proprio certificato di identità Webex e, se disponibile, il certificato di identità fornito dal cliente con tutti gli altri partecipanti. Per garantire una connettività senza interruzioni, l'endpoint Webex segue una gerarchia rigorosa: Il sistema dà priorità al certificato fornito dal cliente per la verifica; se tale certificato è mancante o non supera la convalida, il sistema ricorre automaticamente al certificato di identità fornito da Webex.

Visualizzazione dello stato di verifica dell'identità dell'utente

Quando i partecipanti si uniscono a una riunione utilizzando l'app Webex o dispositivi RoomOS con certificati forniti dal cliente, le loro identità vengono verificate dagli altri membri della riunione tramite l'autorità di certificazione (CA) emittente. Ciò garantisce che vengano riconosciuti solo gli utenti autorizzati, impedendo ai malintenzionati di impersonare partecipanti legittimi, poiché questi certificati sono univocamente collegati a identità verificate e non possono essere falsificati da Cisco o da intermediari.

L'elenco dei partecipanti a una riunione con crittografia end-to-end mostra lo stato di verifica dell'identità di ciascun utente:

• Verifica Zero-Trust E2E ( domain.com )—Quando viene utilizzato un certificato di identità fornito dal cliente, il dominio del partecipante viene visualizzato in blu. Ciò indica una vera identità verificata end-to-end, che Cisco non può manomettere. Ad esempio, nell'elenco dei partecipanti alla riunione, potresti notare che "Kevin" ha un indirizzo email verificato da example.com, evidenziato in blu.
• Webex-Verified ( domain.com)—I certificati emessi da un'autorità di certificazione Webex offrono un livello di protezione più limitato. Pur essendo preferibile a non avere alcuna protezione dell'identità, questi partecipanti non sono contrassegnati come "verificati end-to-end da Zero Trust". Il loro stato di identità viene invece visualizzato in grigio, a indicare che l'identità è stata verificata dall'autorità di certificazione Webex.
• Utente ospite non verificato ( (Non verificato) — Sebbene l'identità dei partecipanti ospiti non venga autenticata (in quanto non è previsto un processo di registrazione), è comunque necessario un certificato per accedere al gruppo MLS per una chiamata o una riunione. Questo certificato è rilasciato da un'autorità di certificazione (CA) di Webex e utilizza "anonymous" come nome utente.

Inoltre, un codice di sicurezza della riunione derivato dallo stato crittografico di tutti i partecipanti aiuta a rilevare gli attacchi "persona nel mezzo" consentendo ai partecipanti di verificare che tutti condividano lo stesso contesto di riunione sicuro. Combinando la verifica crittografica dell'identità con la crittografia end-to-end, questa funzionalità di "prevenzione dei deepfake" offre una solida difesa contro le minacce di impersonificazione e di contenuti multimediali sintetici, salvaguardando l'integrità e la riservatezza delle riunioni sia sull'app Webex che sui dispositivi RoomOS.

Implementazione del Certificato di Gestione

Le organizzazioni possono semplificare l'implementazione e la gestione di questi certificati di identità utente finale forniti dai clienti installandoli sui dispositivi gestiti a livello aziendale tramite applicazioni di Mobile Device Management (MDM), Mobile Application Management (MAM) o Enterprise Mobility Management (EMM). Queste piattaforme di gestione consentono agli amministratori IT di fornire, configurare e controllare centralmente i certificati e le relative policy di sicurezza su un'ampia gamma di dispositivi, sia aziendali che personali. Ad esempio, Microsoft Intune supporta sia le funzionalità MDM che MAM, che consentono alle organizzazioni di distribuire e gestire l'app Webex e le relative configurazioni di sicurezza, inclusi i certificati di identità, sui dispositivi gestiti. Analogamente, Cisco Meraki Systems Manager offre funzionalità MDM per registrare i dispositivi, distribuire profili di configurazione e implementare certificati per garantire lo stato di attendibilità dei dispositivi. Sfruttando queste soluzioni di gestione si riducono i costi amministrativi, si semplifica la gestione del ciclo di vita dei certificati e si migliora il livello di sicurezza delle riunioni Webex E2EE grazie alle funzionalità di "prevenzione dei deepfake".

I tre pilastri dell'identità

Una gestione efficace delle identità e degli accessi (IAM) per Webex si basa su:

• Provisioning (CRUD): Gestione del ciclo di vita degli utenti (creazione, lettura, aggiornamento, eliminazione) per garantire che la "fonte di verità" corrisponda alla piattaforma di collaborazione.
• Autenticazione (AuthN): verifica dell'identità dell'utente tramite credenziali o token sicuri.
• Autorizzazione (AuthZ): definizione di autorizzazioni granulari e livelli di accesso alle API dopo l'autenticazione.

Impostazione & Gestione del ciclo di vita

Webex supporta diversi metodi per sincronizzare utenti e gruppi:

• SCIM 2.0— Lo standard cloud preferito. Automatizza il ciclo di vita dell'utente, garantendo che la disattivazione nell'IdP revochi automaticamente l'accesso a Webex.
• Directory Connector— Uno strumento Cisco per ambienti ibridi, che collega Active Directory (AD) locale al cloud Webex.
• Provisioning basato su API— Utilizza l'API "People" di Webex per la creazione programmatica di utenti e l'assegnazione di licenze in ambienti complessi.
• LDAP legacy—Supportato per le directory locali (ad es. CUCM), sebbene meno ottimizzato per il traffico cloud moderno.

Autenticazione & Quadri di autorizzazione

• Autenticazione (AuthN):

• SAML 2.0— Lo standard aziendale per il Single Sign-On (SSO). Webex funge da fornitore di servizi (SP), convalidando le asserzioni XML provenienti dall'IdP aziendale.
• OIDC (OpenID Connect)—Un livello di identità moderno e leggero basato su OAuth 2.0 che utilizza JSON Web Token (JWT). Supporta gli "URL di individuazione" per la configurazione automatizzata.

• Autorizzazione (AuthZ):

• OAuth 2.0—Gestisce l'accesso alle API tramite token di accesso di breve durata (che definiscono gli ambiti) e token di aggiornamento di lunga durata. Garantisce la sicurezza tramite PKCE (Proof Key for Code Exchange) per i client pubblici.

Integrazione & Strategie multi-IdP

Webex offre percorsi specializzati per un'integrazione perfetta:

• Entra ID Wizard—Il percorso consigliato per gli ambienti Microsoft. Utilizza l'API Microsoft Graph per la sincronizzazione avanzata degli attributi (avatar, gerarchie) e automatizza OIDC/SAML configurazione.
• Duo Security—Aggiunge la "Sicurezza dell'identità continua" verificando lo stato del dispositivo e abilitando l'autenticazione a più fattori (MFA) resistente al phishing.

Supporto per più IdP:Webex permette alle organizzazioni di federare più IdP indipendenti all'interno di un unico Control Hub.

• Casi d'uso: fusioni, acquisizioni o reparti IT decentralizzati.
• Instradamento: le richieste di autenticazione vengono instradate in base ai domini o ai gruppi di utenti.
• Considerazione: richiede uno stretto coordinamento per mantenere politiche di sicurezza coerenti su tutte le fonti federate.

Esempio di integrazione di identità IdP tra le più comuni e Webex:

Buone pratiche e resilienza

• Ripristino SSO: utilizzare sempre il collegamento "Ripristino SSO" integrato in Control Hub per bypassare l'SSO tramite una password monouso (OTP) in caso di errore nella configurazione dell'IdP.
• Gestione dei certificati: monitora la scadenza dei certificati SAML. La procedura guidata SSO automatizza lo scambio di metadati, riducendo gli errori manuali.
• Risoluzione dei problemi: in caso di problemi di autenticazione, utilizzare lo strumento SAML Tracer per esaminare le asserzioni XML e convalidare i formati NameID.
• Postura di sicurezza: deprecare regolarmente i tipi di concessione obsoleti e garantire l'implementazione di PKCE per tutte le integrazioni con client pubblici.

Conclusione: Identità per le riunioni Webex

Una solida strategia di gestione dell'identità è un processo continuo che si sviluppa nel corso del suo ciclo di vita. Combinando SCIM per il provisioning, OIDC/SAML Grazie all'autenticazione e all'autorizzazione tramite OAuth, le organizzazioni possono garantire agli utenti un'esperienza sicura e senza intoppi, mantenendo al contempo uno stretto controllo amministrativo.

Ciclo di vita dello sviluppo sicuro di Cisco

In Cisco, la sicurezza non è un aspetto secondario. Si tratta di un approccio rigoroso per costruire e fornire prodotti e servizi di livello mondiale partendo da zero. Tutti i team di sviluppo prodotto Cisco^® sono tenuti a seguire il ciclo di vita dello sviluppo sicuro di Cisco. Si tratta di un processo ripetibile e misurabile, progettato per aumentare la resilienza e l'affidabilità dei prodotti Cisco. La combinazione di strumenti, processi e formazione sulla consapevolezza introdotti in tutte le fasi del ciclo di vita dello sviluppo contribuisce a garantire una difesa multilivello. Offre inoltre un approccio olistico alla resilienza del prodotto. Il team di sviluppo prodotto di Webex segue con passione questo ciclo di vita in ogni aspetto dello sviluppo del prodotto.

Scopri di più sul Ciclo di vita dello sviluppo sicuro.

Strumenti di sicurezza fondamentali di Cisco

L'organizzazione Cisco dedicata alla sicurezza e all'affidabilità fornisce il processo e gli strumenti necessari per consentire a ogni sviluppatore di assumere una posizione coerente di fronte a una decisione in materia di sicurezza.

Disporre di team dedicati alla creazione e alla fornitura di tali strumenti elimina l'incertezza dal processo di sviluppo del prodotto.

Alcuni esempi di strumenti includono:

• Requisiti di base per la sicurezza del prodotto (PSB) a cui i prodotti devono conformarsi
• Strumenti di generazione delle minacce utilizzati durante la modellazione delle minacce
• Linee guida per la codifica
• Librerie validate o certificate che gli sviluppatori possono utilizzare al posto di scrivere il proprio codice di sicurezza.
• Strumenti di test di vulnerabilità della sicurezza (per analisi statica e dinamica) utilizzati dopo lo sviluppo per testare la presenza di difetti di sicurezza
• Software di tracciamento che monitora le librerie Cisco e di terze parti e notifica ai team di prodotto l'individuazione di una vulnerabilità.

Struttura organizzativa che infonde sicurezza nei processi Cisco

Cisco ha istituito reparti dedicati per implementare e gestire i processi di sicurezza in tutta l'azienda. Per rimanere costantemente al passo con le minacce e le sfide alla sicurezza, Cisco si affida a:

• Team Cisco Information Security (InfoSec) Cloud
• Team di risposta incidente di sicurezza prodotto Cisco (PSIRT)
• Responsabilità condivisa in materia di sicurezza

Cisco InfoSec Cloud

Guidato dal responsabile della sicurezza cloud, questo team ha il compito di fornire ai nostri clienti un ambiente Webex sicuro. InfoSec raggiunge questo obiettivo definendo e applicando processi e strumenti di sicurezza per tutte le funzioni coinvolte nella fornitura di Webex ai nostri clienti.

Inoltre, Cisco InfoSec Cloud collabora con altri team all'interno di Cisco per rispondere a qualsiasi minaccia alla sicurezza del servizio Webex.

Cisco InfoSec è inoltre responsabile del miglioramento continuo del livello di sicurezza di Webex.

Team di risposta incidente di sicurezza prodotto Cisco (PSIRT)

Il team Cisco PSIRT è un team globale specializzato nella gestione del flusso di segnalazioni, nell'analisi e nella segnalazione di problemi di sicurezza relativi ai prodotti e servizi Cisco. Il PSIRT utilizza diversi mezzi per pubblicare informazioni, a seconda della gravità del problema di sicurezza. La tipologia di segnalazione varia in base alle seguenti condizioni:

• Esistono patch software o soluzioni alternative per affrontare la vulnerabilità, oppure è prevista una successiva divulgazione pubblica delle correzioni del codice per affrontare le vulnerabilità di elevata gravità.
• Il PSIRT ha rilevato lo sfruttamento attivo di una vulnerabilità che potrebbe comportare un rischio maggiore per i clienti Cisco. In questo caso, il PSIRT potrebbe accelerare la pubblicazione di un annuncio di sicurezza che descrive la vulnerabilità anche in assenza di patch complete.
• La conoscenza pubblica di una vulnerabilità che interessa i prodotti Cisco potrebbe comportare un rischio maggiore per i clienti Cisco. Inoltre, PSIRT potrebbe avvisare i clienti anche in assenza di patch complete.

In tutti i casi, PSIRT divulga la quantità minima di informazioni necessarie agli utenti finali per valutare l'impatto di una vulnerabilità e adottare le misure necessarie per proteggere il proprio ambiente. Il PSIRT utilizza la scala Common Vulnerability Scoring System (CVSS) per classificare la gravità di un problema segnalato. PSIRT non fornisce dettagli sulle vulnerabilità che potrebbero consentire a qualcuno di creare un exploit.

Per ulteriori informazioni su PSIRT, consultare Cisco Product Security Incident Response Team.

Responsabilità della sicurezza

Sebbene ogni membro del gruppo Webex sia responsabile della sicurezza, le regole principali sono le seguenti:

• Responsabile della sicurezza, Cloud
• Vicepresidente e direttore generale delle applicazioni di collaborazione cloud di Cisco
• Vicepresidente, Ingegneria, Applicazioni di collaborazione cloud di Cisco
• Vicepresidente, Gestione prodotti, Applicazioni di collaborazione cloud Cisco

Test di penetrazione interni ed esterni

Il gruppo Webex effettua regolarmente rigorosi test di penetrazione, avvalendosi di valutatori interni. Oltre alle proprie rigorose procedure interne, Cisco InfoSec si avvale anche di diverse terze parti indipendenti per condurre audit rigorosi rispetto alle politiche, procedure e applicazioni interne di Cisco. Questi audit sono progettati per convalidare i requisiti di sicurezza mission-critical per entrambe le applicazioni commerciali e governative. Cisco si avvale inoltre di fornitori terzi per eseguire test di penetrazione approfonditi e continui, con l'ausilio del codice, e valutazioni dei servizi. Come parte dell'impegno, una terza parte esegue le seguenti valutazioni di sicurezza:

• Identificare le vulnerabilità critiche di applicazioni e servizi e proporre soluzioni.
• Raccomandazioni su aree generali per interventi di miglioramento architettonico.
• Individuare gli errori di codifica e fornire indicazioni per migliorare le pratiche di codifica.

Valutatori esterni collaborano direttamente con il personale tecnico di Webex per spiegare i risultati e convalidare le soluzioni adottate. Per informazioni sull'attestazione del test di penetrazione, fare riferimento al Pacchetto di attestazioni di fiducia per le riunioni Webex

Sicurezza fisica

La sicurezza fisica del data center comprende la videosorveglianza delle strutture e degli edifici e l'obbligo di autenticazione a due fattori per l'accesso. Nei data center di Cisco, l'accesso è controllato tramite una combinazione di lettori di badge e controlli biometrici. Inoltre, i controlli ambientali (ad esempio, sensori di temperatura e sistemi antincendio) e le infrastrutture per la continuità del servizio (come i sistemi di alimentazione di emergenza) contribuiscono a garantire che i sistemi funzionino senza interruzioni.

I server dei data center sono segmentati in "zone di fiducia", in base alla sensibilità dell'infrastruttura. Ad esempio, i database sono "incapsulati", l'infrastruttura di rete dispone di stanze dedicate e tutti i rack delle apparecchiature sono chiusi a chiave. Solo il personale di sicurezza di Cisco e i visitatori autorizzati accompagnati da personale Cisco possono accedere ai data center.

La rete di produzione di Cisco è una rete altamente affidabile: Solo pochissime persone con un elevato livello di fiducia hanno accesso alla rete.

Sicurezza delle infrastrutture e delle piattaforme

La sicurezza della piattaforma comprende la sicurezza della rete, dei sistemi e dell'intero data center di Webex. Tutti i sistemi vengono sottoposti a un'accurata revisione della sicurezza e a una convalida di accettazione prima della messa in produzione, nonché a regolari attività di rafforzamento, applicazione di patch di sicurezza e scansione e valutazione delle vulnerabilità.

I server vengono protetti utilizzando le Linee guida per l'implementazione tecnica della sicurezza (STIG) pubblicate dal National Institute of Standards and Technology (NIST). I firewall proteggono il perimetro della rete. Le liste di controllo degli accessi (ACL) suddividono le diverse zone di sicurezza. Sono presenti sistemi di rilevamento delle intrusioni (IDS) e le attività vengono registrate e monitorate in modo continuativo. Su Webex vengono eseguite quotidianamente scansioni di sicurezza interne ed esterne. Tutti i sistemi vengono rinforzati e aggiornati nell'ambito della manutenzione ordinaria. Inoltre, vengono eseguite in modo continuativo scansioni e valutazioni delle vulnerabilità.

La continuità del servizio e il ripristino in caso di disastro sono componenti fondamentali della pianificazione della sicurezza. La progettazione dei data center Cisco con backup globali dei siti e alta disponibilità contribuisce a consentire il failover geografico dei servizi Webex. Non esiste un singolo punto di guasto.

• Conformità al GDPR
• Informativa sull'offerta Cisco Webex Meetings

Standard e certificazioni di settore

Oltre a rispettare i nostri rigorosi standard interni, Webex si sottopone costantemente a validazioni di terze parti per dimostrare il proprio impegno in materia di sicurezza delle informazioni. Webex consente di:

• Certificazione ISO 27001, 27017, 27018 e 27701
• Verifica dei controlli dell'organizzazione dei servizi (SOC) di tipo II (livello 2)
• Certificazione SOC 3
• Codice di condotta per il cloud
• CSTAR
• Attestazione del Catalogo dei controlli di conformità per il cloud computing (C5)
• Certificato FedRAMP (visita cisco.com/go/fedramp per maggiori dettagli, ambito e disponibilità)

Consultare il Cisco Trust Portal per una serie completa di documenti relativi a sicurezza, privacy e conformità, inclusi i dettagli sugli standard e le certificazioni sopra menzionati.